一、义务从哪里来：两级法条加一个衔接条款
《中华人民共和国密码法》自 2020 年 1 月 1 日起施行，其中第二十七条规定：法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估，并与关键信息基础设施安全检测评估、网络安全等级测评相衔接。违反该条的，按第三十七条，由密码管理部门责令改正、警告；拒不改正或导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。
修订后的《商用密码管理条例》（国务院令第 760 号，自 2023 年 7 月 1 日起施行）第三十八条进一步细化：关键信息基础设施运营者应制定商用密码应用方案、配备资金与专业人员，同步规划、同步建设、同步运行商用密码保障系统，上线前通过密评方可投入运行，运行后每年至少评估一次，评估情况报密码管理部门备案。对绝大多数非关基企业，更常用的是第四十一条：网络运营者应当按照国家网络安全等级保护制度要求，使用商用密码保护网络安全——这意味着等保二级以上的财务系统，密码应用同样进入合规射程，未按要求使用的可按第六十二条处一万元以上十万元以下罚款。
| 情形 | 密码应用义务 | 评估要求 |
|---|---|---|
| 关键信息基础设施运营者 | 使用商用密码保护，三同步建设保障系统 | 上线前通过密评，运行后每年至少一次并备案 |
| 等保二级及以上系统运营者 | 按等保制度要求使用商用密码保护网络安全 | 按密码管理部门确定的要求开展应用安全性评估 |
| 一般信息系统 | 鼓励自愿使用商用密码与接受检测认证 | 无强制密评要求 |
二、GB/T 39786-2021：密评对照的国家级标尺
密评依据的核心标准是《信息安全技术 信息系统密码应用基本要求》（GB/T 39786-2021，2021 年 3 月 9 日发布，2021 年 10 月 1 日实施，替代行业标准的 GM/T 0054-2018）。它把密码应用要求分为技术与管理两大块：技术层面覆盖物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面，管理层面覆盖管理制度、人员管理、建设运行、应急处置四个方面，并按信息系统安全等级给出第一级到第四级的差异化要求。
对等保三级财务系统，技术侧的典型应达标项包括：对通信实体与登录用户进行基于密码技术的身份鉴别；重要数据传输过程的机密性；重要数据存储过程的机密性。所使用的密码产品应具有商用密码产品认证证书，并满足 GB/T 37092《信息安全技术 密码模块安全技术要求》二级及以上要求。此外，标准对密钥全生命周期——产生、分发、存储、使用、更新、归档、撤销、备份、恢复、销毁——均提出了可核查的要求，密钥管理制度缺失是密评中最常见的失分项。
三、SM2、SM3、SM4 在财务系统里的分工
国密算法已形成国家标准体系：SM2 椭圆曲线公钥密码算法（GB/T 32918-2016）承担签名、密钥交换与公钥加密等非对称运算；SM3 密码杂凑算法（GB/T 32905-2016）用于完整性校验与签名摘要；SM4 分组密码算法（GB/T 32907-2016）承担对称加解密。三者不是替代关系，而是在不同环节各管一段。
三类算法与财务系统典型场景的对应
- 身份鉴别与电子签章：SM2 数字签名（登录双因素认证、审批签名、电子印章），替代 RSA 体系
- 传输通道加密：浏览器到服务器的国密 HTTPS（SM2 证书协商 + SM4 会话加密），覆盖报销数据、银企指令等敏感流量
- 存储加密与完整性：字段级加密用 SM4（如银行卡号、身份证号），防篡改校验与日志防抵赖用 SM3 摘要链
四、改造落地的四个常见障碍
第一是存量系统依赖国际算法：老版本中间件、数据库透明加密、第三方组件默认走 RSA 与 AES，改造往往涉及升级而非简单配置，需要先做一次算法依赖盘点。第二是浏览器与网关的国密支持：国密 HTTPS 需要服务端证书、TLS 协议栈、客户端浏览器三方协同，部分老旧浏览器或内嵌 WebView 不支持国密套件，移动端要单独验证。第三是密钥管理配套跟不上：上了密码机却没建密钥管理制度、没有密钥轮换与归档流程，密评时技术与管理两侧同时失分。第四是密评时机错配：系统建成后才补做密码方案，改造返工量大——这正是三同步要求想把成本前移到规划设计阶段的原因。
五、给企业的一条务实推进路径
- 先定级归类：确认财务系统是否属于关基，或处于哪个等保级别，据此判断密码应用义务强度
- 做差距分析：按 GB/T 39786 对应等级逐条比对现状，重点盘点身份鉴别、传输机密性、存储机密性三类技术项与密钥管理
- 编制密码应用方案：明确算法选型、密码产品清单（认证书与模块等级）、密钥管理体制，作为后续建设与评估的基线
- 同步建设与验证：改造期间保留可回退的双算法过渡配置，完成后委托检测机构密评，并把年度评估纳入运维日历
对选择本地化部署财务系统的企业，密码改造的主动权在自己手里：可以在选型阶段就把国密支持、密码机对接、密评配合能力写进技术需求，避免上线后再为合规问题二次改造。
资料来源：《中华人民共和国密码法》（2020 年 1 月 1 日起施行）；《商用密码管理条例》（国务院令第 760 号，自 2023 年 7 月 1 日起施行）；GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》（2021 年 10 月 1 日实施）；SM2/SM3/SM4 系列国家标准（GB/T 32918-2016、GB/T 32905-2016、GB/T 32907-2016）